10/18 早间速报：成功的请求在上游被记成 499，换号把上一账号的密文带了过去
10 月 18 日北京早间两个半小时：四仓没有新版本，但 CLIProxyAPI 的成功请求在上游被记成 499，sub2api 换号会把上一张账号的推理密文带到下一张；另附一条 28GB/天流量查不到字节账的教训与 OpenCode Console 的 key 泄露处置。
这一期覆盖北京 10 月 18 日 06:17 到 08:45，两个半小时多一点。四个仓库都没有新版本：sub2api 还是 v0.2.17、CLIProxyAPI v8.0.32、codex-proxy v2.1.18、codex2api v3.1.11234。
四条主干也没有新提交，本窗口没有 PR 合并。
窗口里值得今晚动手的是两件事。一件是你的成功请求，在上游账上被记成客户端中途断开；另一件是 sub2api 换号时，把上一张账号的推理密文交给了下一张。
一、CPA 侧记成功，上游侧记 499
同一批请求，CPA 这边状态是 Success、token 全记下了；上游面板上一律是 HTTP 499（Client Closed Request）。
报障人按输出 token 数对齐了七组：414、102、790、211、56、173、620，CPA 的成功行与上游的 499 行一一对上5。
机制在代码里能读出来。这条执行器判终结只有一个条件：读到
data: [DONE] 这一帧。读到就跳出扫描循环，上游响应体随后由延迟执行的
Close() 关掉6。报障人把它归到这一步：终局帧之后没有把尾巴读完，就取消了上游请求，上游 nginx 于是记成客户端断开5。
值得注意的是 token 账是平的。每一帧在被翻译、下发之前都会过一次用量观测，所以用量记全了，上游那本账却记成了失败6。
两边对账时，这一批会同时出现在「成功」和「客户端取消」两栏里。
和 10 月 17 日凌晨报过的那条方向相反。那条是 Meta（Muse）流在终端事件之后断开，记错的是 CPA 自己的错误记录；这次记错的是上游对我们的判定。
范围要写窄：这段循环就属于
openai-compatibility 这一种上游类型，文件本身就是 openai_compat_executor.go。如果你没有这类上游，这条和你无关。今天能做的：把上游面板的 499 行和 CPA 的成功行按 token 数对一次，看是不是同一批。
如果对上了，先跟上游把这批解释清楚，别让对方把它当成你的客户端在刷。这个单还开着、0 条评论，也没有配套的修复 PR5。
[DONE]（第 487 行），读到即置 seenDone 并跳出扫描循环（第 521、535 行）；上游响应体由第 433–435 行的 defer 关闭，[DONE] 之后的字节不再读。6二、换号之后，上一张账号的密文还在请求里
sub2api 这张 PR 在窗口里拿到了最后一笔提交（北京 08:21），现在还是开着的，合并状态 unstable，6 个文件 +208/−138。
它修的是续接类请求在换号之后的处理。
Codex 的 Responses 请求会带
reasoning.encrypted_content。这段密文由生成它的那张账号加密，换一张账号就解不开，也不该被解开。作者的原话是「新账号收到了上一张账号产出的密文」8。
v0.2.17 里已经有一段剥离逻辑，条件很窄：要这一轮先试过一个 passthrough 账号、接着换到非 passthrough 账号，才会剥9。
两个同平台、都不是 passthrough 的账号之间换号，函数在第 37–39 行原样返回，密文跟着走。
compact 请求走的是另一条路。
normalizeOpenAIResponsesCompactRequest 整段（第 1036 行到第 1070 行）没有调用任何剥离函数10。撞上之后，上游以
invalid_encrypted_content 拒掉这一轮。v0.2.17 对同一张账号有兜底：命中这个错误码时剥掉加密的推理项、重试一次11。这个兜底是每个请求一次，换号发生在它用完之后的请求，就没有第二次机会了。
PR 改三处。compact 请求一律剥掉账号绑定的推理项与压缩项；换号之后，只要请求还带着
previous_response_id 或压缩触发标记，就先剥再发。第三处是 compact 的能力门控：原生压缩路径只对 OpenAI 平台要求这项能力，DeepSeek、Grok 这类继续走自己的兼容路径8。
今天能做的：需要续接的会话，交给 API-key 类型的账号。v0.2.17 的 handler 里写着，HTTP 请求上的
previous_response_id 要求 OpenAI API-key 账号12。另一件是把单个请求的换号次数压下来：换得越多，撞上旧密文的机会越大。
三、账本上只有 token，没有字节
窗口里还有一张开了三分钟就被关掉的 PR，值得记下来。
作者想给
usage_logs 加三列字节数：客户端请求体、回给客户端的响应体、发往上游的请求体合计，最后一列把每次失败重试与换号尝试都算进去13。动机是他自己的一台容器一天跑出约 28GB 出口流量，而
usage_logs 只有 token 口径，答不了「这些字节是谁、哪个请求烧的」。他还点了一句：失败重试与换号的出向字节完全不落库13。
这张单在北京 08:01 开出、08:04 关闭，未合并，唯一的评论是 CLA 机器人提醒签协议13。
所以今天要看字节，还得在 nginx 或宿主机上按
$request_length、$bytes_sent 自己记。重试次数先压下来，比事后对账便宜。四、OpenCode 存储的 key 要按泄露处理
OpenCode 官方在北京时间今天 02:08 发帖说明：前一晚发生了一起安全事件，与一次大规模蒸馏攻击有关，影响 1.4% 的 OpenCode Console 用户15。
同一帖里写：今早已邮件通知，没收到邮件的就是没被波及；受影响的是在 Console 里挂了外部厂商的那部分用户。
社区帖里给了一个具体例子：一张只存在 OpenCode Console、此前从没用过的 Anthropic key，在一夜之间被拿去跑 Opus，余额从 158 美元归零16。
Anthropic 的第一封回复说已用额度一般不可退，OpenCode 说正在与厂商谈赔付。同一份邮件口径给出的暴露起点是 10 月 17 日 00:30 UTC，也就是北京时间 08:3016。
中转站要查两件事：运营自己有没有在 OpenCode Console 里存过 Anthropic、OpenAI、Google 的 key；以及有没有号池的上游账号是用这类 key 接进去的。
有的话，今天就去厂商后台吊销重发，再把 10 月 16 日之后的用量翻一遍。
替换之后的 key 加上月度花费上限与告警。这次事件里，余额被刷空之前没有任何提示。
五、版本与其余动态
四仓没有新版本，主干也没有新提交。
CLIProxyAPI 的 dev 头还停在 10 月 17 日 19:20（北京），main 停在 10 月 16 日 18:56；sub2api main 停在 10 月 16 日 04:42；codex-proxy dev 停在 10 月 16 日 19:28；codex2api main 停在 10 月 16 日 21:35。
上一期报过的 #6727（相对 auth-dir 的凭证 ID 改写修复）仍是 open，没有新评审17。同一仓库的 #6725 也还是 open、没有新评论。
codex2api 今天 07:35 开了一条需求：API Key 通道希望能不走 resin 代理、直接连出去。
作者的说法是 apikey 途径多是接外部中转站，这类出口不需要好 IP，而现在不填代理就会落到 resin，界面里也没有取消代理的开关18。
代码里对应的是出口解析的优先级：Resin 一旦启用就是整层覆盖，Codex 渠道所有携带账号身份的出站都改走它19。
中继型账号（Claude、Grok、Antigravity）不在其中。所以对 Codex 型账号来说，眼下只有「整层走 Resin」和「关掉 Resin」两个状态。
上游状态这一轮没有新事件：OpenAI 全绿、活动事件 020。
Codex 额度侧今天 UTC 没有新重置，仍记 10 月 15 日 06:13 UTC 那一次、54 次全局重置、10 次 banked23。上一期已经写过它页面上几处数字互相打架，这期不重复。
今晚按这个顺序：先拿上游面板的 499 和 CPA 的成功行对一次 token；需要续接的会话换到 API-key 账号、把单请求的换号次数压小；最后把在 OpenCode Console 里存过的 key 全部吊销重发。
References
- 1sub2api Releases
github.com
- 2CLIProxyAPI Releases
github.com
- 3codex-proxy Releases
github.com
- 4codex2api Releases
github.com
- 5CLIProxyAPI issue #6729
github.com
- 6
- 7CLIProxyAPI v8.0.32 stream_forwarder.go
github.com
- 8sub2api PR #8186
github.com
- 9
- 10
- 11
- 12
- 13sub2api PR #8189
github.com
- 14sub2api v0.2.17 usage_log ent schema
github.com
- 15OpenCode 官方声明
x.com
- 16r/ClaudeAI 帖子
reddit.com
- 17CLIProxyAPI PR #6727
github.com
- 18codex2api issue #799
github.com
- 19codex2api v3.1.1 proxy/egress.go
github.com
- 20OpenAI Status
status.openai.com
- 21Anthropic Status
status.anthropic.com
- 22Google Cloud incidents.json
status.cloud.google.com
- 23codex-reset.com
codex-reset.com
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.